Personvern

SvishTravel er en digital tjeneste for å føre og sende reiseregning. Vi behandler opplysninger du selv legger inn, og tekniske data som trengs for innlogging, sending, betaling av gebyr og drift.

Ved registrering lagrer vi navn, e-post, passord (hashet med bcrypt), fødselsdato, adresse, mobil, språk, kontonummer eller IBAN og SWIFT, og valg for satser og MVA. Vi sender en bekreftelseslenke til e-posten. Lenken lagres hashet og gjelder i 48 timer. Glemt-passord-lenke lagres hashet og gjelder i én time. Logger du inn med Google eller Microsoft, lagrer vi en Account-kobling (leverandør og konto-id hos dem). Passord er da valgfritt. Ny OAuth-bruker merkes som e-postbekreftet. Uten e-postadresse fra leverandøren avvises innloggingen.

Når du logger inn, lager vi en økt i databasen (Session) med utløpstid og tidspunkt for sist sett. Innloggingscookien rr_session er HttpOnly, Secure og SameSite=Lax og gjelder i 14 dager. Sist sett oppdateres når du bruker appen. Økten slettes når du logger ut eller bytter passord. Vi lagrer ikke IP-adresse eller enhetsinfo i økten. IP brukes midlertidig i minnet for å begrense innloggingsforsøk, og lagres ikke i databasen.

På reiseregningen lagrer vi reiser (formål, steder, tid, type, land), linjer (utlegg, diett, km, nattillegg, honorar, gebyr), satser, beløp, mottaker-e-post, organisasjon, kontaktperson, sendestatus og PDF. Reiser kan ha koordinater, via-stopp, kjøreavstand, bompenger og et kartbilde. Vi husker siste mottaker-e-post, organisasjon og kontaktperson på profilen din.

Når du søker sted, sender vi søketeksten til Kartverket/Geonorge (norske adresser og stedsnavn) og Nominatim/OpenStreetMap (nordiske treff). Kjørerute beregnes med OSRM. Bompenger på norske strekninger hentes fra BompengeAppen. Kartfliser hentes fra OpenStreetMap for å lage et kartbilde som lagres på reisen. Vi lagrer valgte steder, koordinater og rutedata du har brukt.

Kvitteringer og eventuell signatur du laster opp, lagres som fil. Tekst kan leses fra kvitteringen i nettleseren (Tesseract.js) eller på serveren, og inntil 8000 tegn kan lagres på linjen for å fylle ut beløp, dato og leverandør. Du kan rette feltene selv. Vi logger ikke innholdet i kvitteringer.

Honorar er valgfritt. Hvis du slår det på, lagrer vi at du har godtatt egenerklæringen, hvilken versjon og tidspunktet. Honorarlinjer lagrer beskrivelse og beløp på reiseregningen. SvishTravel er ikke et lønns- eller arbeidsgiversystem.

Norsk kontonummer, eller IBAN og SWIFT, lagres på profilen og skrives på reiseregningen og i e-posten til mottaker, slik at utbetaling kan skje. Vi logger ikke kontonummer, IBAN eller SWIFT.

I produksjon sendes e-post via Resend når nøkkel er satt, ellers via SMTP hvis det er konfigurert. Vi sender: bekreftelse av e-post, lenke for nytt passord, reiseregning-PDF til mottakeren du oppgir (med utbetalingslinje og eventuell honoraroversikt), kopi av tidligere sendt PDF, og — for administrator — økonomirapport til en e-post administratoren skriver inn.

Hvis Vipps er slått på, betaler vanlige brukere et engangsgebyr før sending. Til Vipps sender vi beløp, betalingsreferanse, returlenke, beskrivelsen «Gebyr for reiseregning» og eventuelt mobilnummer (8 siffer) for å forhåndsfylle. Vi lagrer betalingsstatus, referanse, beløp, tidspunkt og eventuell rabatt. Gebyrfaktura lagrer kjøper (navn, e-post, adresse), selger fra Selskapsinfo, beløp, MVA, rabatt og PDF. Rabatt kan komme fra avtalerabatt satt av ansatt, aktivt medlemstilbud (cookie rr_offer i 14 dager etter tilbudslenke) eller aktivert rabattkode.

Administrator og kundebehandler kan åpne alle reiseregninger. Administrator kan se brukere, roller, gebyr, rabatter, selskapsinfo, økonomi/fakturaer og statistikk. Statistikken teller brukere og nye kontoer (tidssone Europe/Oslo) og viser hvem som er pålogget nå: navn, e-post, sist sett og når økten utløper, ut fra gyldige Session-rader. Vi har ikke eget analyseverktøy eller markedsføringscookies.

Appen kan vises på norsk, svensk eller engelsk. Valget lagres på profilen din og i cookien rr_locale. Før innlogging kan nettleserens språkforslag brukes. PDF og e-post til mottaker er på norsk.

rr_session (innlogging, 14 dager, HttpOnly), rr_locale (språk, 1 år) og rr_offer (tilbudstoken i 14 dager hvis du åpner en tilbudslenke, HttpOnly). Ved Google/Microsoft-innlogging setter Auth.js også kortvarige cookies (authjs.csrf-token, authjs.callback-url, authjs.pkce.code_verifier og authjs.session-token) under innloggingsflyten. Vi setter ikke markedsføringscookies.

Produksjon kjører på svishtravel.no over HTTPS. Databasen er Neon Postgres (anbefalt i EØS: Frankfurt eller Amsterdam). Filer (kvitteringer, kart, PDF) skal ligge i objektlagring i EØS, for eksempel Vercel Blob i Frankfurt eller S3-kompatibel bøtte i eu-central-1 / eu-north-1. Når du bruker funksjonene over, sendes nødvendige opplysninger til Resend eller SMTP (e-post), Vipps (gebyr), Kartverket, Nominatim/OpenStreetMap, OSRM, BompengeAppen og OpenStreetMap-fliser. Velger du Google- eller Microsoft-innlogging, sendes du til Google eller Microsoft Entra ID for å bekrefte identiteten. Mottakeren du oppgir, får reiseregningen.

Passord lagres hashet. Innloggingscookien er HttpOnly, Secure og SameSite. Tilbakestillings- og bekreftelseslenker er hashet. Innlogging er begrenset på antall forsøk per IP. robots.txt stenger /rapporter, /admin, /profil og /api for indeksering. Vi logger ikke kontonummer, IBAN eller kvitteringsinnhold.

Du kan se og endre profilen din i appen. Reiseregninger kan slettes av deg eller av administrator/kundebehandler. Det finnes ikke en selvbetjent sletting av hele kontoen. Be om innsyn, retting eller sletting ved å kontakte virksomheten over.